Ilya Lichtenstein zegt dat de tactieken die bij de hack op de hot wallet van Binance op 29 oktober 2026 werden gebruikt, leken op die welke worden geassocieerd met Noord-Koreaanse hackers. Zijn analyse gaat gepaard met het eigen verslag van Binance over een inbraak die nepwervingscampagnes, kwaadaardige downloads en gecompromitteerde interne AI-tools combineerde, bij een aanval waarbij $6,34 miljard aan activa betrokken was.

De Amerikaanse president Donald Trump zei dat onderzoekers een mogelijke Noord-Koreaanse connectie onderzochten. Noch zijn verklaring, noch de analyse van Lichtenstein bewijst de betrokkenheid van Noord-Korea. Volgens CNBC weigerde Binance-medecEO Richard Teng Noord-Korea rechtstreeks de schuld te geven, maar bevestigde hij dat de FBI de inbreuk had gekoppeld aan Noord-Koreaanse hackers die verbonden zijn met de TraderTraitor-groep.

Lichtenstein suggereerde dat phishing van medewerkers een toegangspunt tot cryptocurrencybeurzen kan vormen, in plaats van hun websites rechtstreeks aan te vallen. De suggestie was geen bevestiging van de route die bij dit incident werd gebruikt. De observatie wijst op waar de beveiliging van beurzen zich concentreert: apparaten van medewerkers, interne tools en de systemen die gelden verplaatsen.

Maandenlange infiltratie ging de inbreuk op de hot wallet vooraf

Het verslag van Binance beschrijft een gefaseerde inbraak waarbij ingenieurs en de systemen die wallettransacties autoriseren betrokken waren. Teng zei dat de aanvallenden maanden nodig hadden om toegang te verkrijgen, en verwierp het idee dat de laptop van één medewerker een single point of failure vormde.

Een beveiligingsrapport van Binance spoorde de voorbereidingen terug tot juni, toen een ingenieur een gemanipuleerde Homebrew-installatie downloadde tijdens het zoeken naar een AI-coderingstool. De beurs detecteerde verdachte activiteit, verving het apparaat en vernieuwde de inloggegevens, maar zei dat de functie van de ingenieur en diens collega's al waren blootgesteld. Homebrew is een veelgebruikte pakketbeheerder, en het incident laat zien hoe een routinematige installatie een toegangspunt wordt zodra de bron ervan is gemanipuleerd.

In september lieten aanvallenders die zich voordeden als wervers een andere ingenieur interviews en een codeeroefening ondergaan die verborgen malware bevatte, zei Teng. Vervolgens verplaatsten ze zich via interne AI-tools naar het systeem dat wallettransacties autoriseert. Die reeks — gefaseerde werving, verborgen malware, laterale beweging via interne tools richting het systeem dat wallettransacties autoriseert — komt overeen met het patroon dat Lichtenstein beschreef.

Teng zei dat Binance 98% van de getroffen activa had aangevuld en de resterende, minder liquide bezittingen aan het opkopen was. Klanten namen $3,6 miljard op wanneer de beurs op 1 november heropende. Binance beloofde de verliezen van klanten te dekken en bouwde het getroffen walletsysteem en de interne AI-tool opnieuw op. De cijfers tonen de omvang van het herstel: het aanvullen van een tekort van miljarden dollars, het opvangen van zware opnames bij de heropening en het herbouwen van gecompromitteerde infrastructuur.

Lichtenstein benadrukte dat de eerste 48 uur na een aanval cruciaal zijn voor het traceren van gestolen fondsen. Kunstmatige intelligentie kan overdrachten na een diefstal versnellen, wat urgentie toevoegt aan vroegtijdige tracking.

Hoe het onderzoek van de onderzoekers naar de mogelijke Noord-Koreaanse connectie zich ontwikkelt, en wanneer Binance de aankoop van de resterende minder liquide bezittingen voltooit, zijn de volgende ontwikkelingen om in de gaten te houden.

Dit artikel is gemaakt met behulp van kunstmatige intelligentie en beoordeeld door de redactie.